ГИС аттестация педагогических работников по приказу ФСТЭК № 117: что изменилось

Еще недавно процедура аттестации государственных систем строилась по простому принципу: один раз успешно прошел испытания, получил официальный документ и работаешь до масштабной перестройки инфраструктуры. Новые правила перевернули этот подход. Сама процедура никуда не делась, однако вокруг нее сформировался постоянный контур проверок, расчетов и отчетности.

Разберем, как изменился регламент для операторов государственных систем и что делать владельцам ранее выданных аттестатов.

Что изменилось с вводом приказа № 117

С 1 марта 2026 года приказ ФСТЭК России № 117 официально пришел на смену старому приказу № 17. Документ детализирует требования к защите информации в государственных и муниципальных информационных системах, а также на объектах госучреждений и ГУП.

• Аттестат – это не финальная точка. Документ по-прежнему оформляется до запуска систем в промышленную эксплуатацию (по порядку приказа № 77), но теперь он сопровождается непрерывным циклом проверок.

• Массовой переаттестации нет. Все документы о соответствии, выданные до 1 марта 2026 года, остаются действительными. Переоформление требуется только при модернизации системы.

• Новые нормативы контроля. Приказ № 60 (вступающий в силу с 1 сентября 2026 года) переводит периодические проверки на трехлетний цикл и вводит санкции за отсутствие отчетности, вплоть до приостановки действия аттестата.

Кого затрагивают новые требования

Под действие новых правил подпадают ГИС, а также любые иные информационные системы ведомств, бюджетных учреждений и унитарных предприятий (включая внутренние кадровые и бухгалтерские базы). Муниципальные системы защищаются по тем же стандартам, если иное не прописано в профильном законодательстве.

Законодатель предусмотрел закрытый перечень исключений, не подлежащий расширительному толкованию. Требования не распространяются на инфраструктуру Администрации Президента, аппаратов Совета Безопасности и Правительства, палат Федерального Собрания, высших судов, а также на органы разведки и системы управления военной техникой.

Судьба старых аттестатов и переходный период

Согласно разъяснениям ФСТЭК (информационное сообщение от 12.03.2026), ранее выданные аттестаты сохраняют силу. Регулятор рекомендует организациям разработать внутренний план перехода на новые требования, хотя официально это носит рекомендательный характер.

Кроме того, если договоры на создание или модернизацию систем были заключены до 1 марта 2026 года, допускается завершить работы по старой нормативной базе приказа № 17.

Классификация систем и ограничения по средствам защиты

Сохранилась классификация по трем классам защиты, которая зависит от масштаба системы и возможных последствий от утечки информации. При этом три правила из приложения к приказу напрямую влияют на бюджетирование проектов:

1. Гриф «Для служебного пользования» (СПК) автоматически присваивает системе 1-й класс защищенности.

2. Ограничение инфраструктурой: класс информационной системы не может превышать класс защиты аппаратной платформы, на которой она развернута.

3. Сегментация: разрешено делить крупные комплексы на изолированные сегменты и защищать каждый из них по своему классу, что позволяет снизить общие затраты.

Новые числовые показатели: КЗИ и ПЗИ

Пункты 31–33 приказа вводят обязательные метрики, которые операторы должны регулярно рассчитывать и передавать регулятору:

• КЗИ (показатель защищенности): рассчитывается не реже раза в полгода по 16 параметрам. Значение «единица» здесь – минимально допустимая норма, а любой выявленный провал (например, слабая парольная политика или просроченные патчи) обнуляет весовой коэффициент группы.

• ПЗИ (показатель уровня зрелости): определяется не реже раза в два года.

Сроки передачи данных во ФСТЭК:

• Если показатели вышли за рамки нормативов, проинформировать руководство требуется в течение 3 календарных дней.

• Официальные результаты расчетов направляются регулятору не позднее 5 рабочих дней после завершения оценки.

Сроки на устранение уязвимостей

Приказ № 117 закрепил четкие временные нормативы реагирования на бреши в безопасности:

• Критический уровень: устранить уязвимость или применить компенсирующие меры нужно максимум за 24 часа.

• Высокий уровень: на исправление дается до 7 календарных дней.

• Средний и низкий уровень: сроки определяются внутренними регламентами организации.

• Уязвимости, отсутствующие в БДУ ФСТЭК: направить сведения регуляторе нужно в течение 5 рабочих дней.

Соблюсти суточный норматив для критических угроз вручную практически невозможно, поэтому автоматизация процессов сканирования и установки патчей становится критически важной.

Периодический контроль и обязательный пентест

Приказ № 60 устанавливает трехлетний интервал (вместо двухлетнего) для проведения периодического контроля защищенности. Отчеты направляются во ФСТЭК в течение 5 рабочих дней после завершения проверок, а непредставление отчета служит прямым основанием для приостановления действия аттестата.

Для ряда объектов в рамках проверок вводится обязательное тестирование на проникновение (пентест):

• Требование распространяется на ГИС, а также иные системы госорганов, ГУП и учреждений 1-го и 2-го классов защищенности.

• Обязательное условие – наличие подключения к интернету или взаимодействия с внешними системами и подрядчиками.

Чек-лист: с чего начать адаптацию под новые требования

1. Инвентаризация: составить полный перечень информационных систем и выделить объекты, подпадающие под действие приказа № 117.

2. Аттестаты и паспорта: проверить актуальность актов классификации и привести технические паспорта в соответствие с реальной архитектурой.

3. Предварительный расчет КЗИ: выполнить тестовый расчет метрик до начала официальных испытаний, чтобы выявить слабые места.

4. Аудит договоров: закрепить в контрактах с подрядчиками обязанность соблюдать внутренние регламенты безопасности заказчика.

5. План перехода: сформировать график мероприятий по адаптации инфраструктуры и заложить ресурсы под регулярную отчетность.